A posição da Microsoft está correta, mas precisa de um esclarecimento: geralmente você precisa implantar um servidor de CA separado para cada * floresta * . Por exemplo, você não precisa implantar uma CA separada no domínio corp.domain1.com, por exemplo.
Eventualmente, existem duas soluções suportadas:
-
como a Microsoft disse, você precisa implantar uma autoridade de certificação separada em cada floresta do AD adquirida. Nesse caso, cada CA possui uma autoridade separada e pode emitir certificados apenas para os respectivos clientes da floresta.
-
ao ter o Windows Server 2008 R2 (ou mais recente) como uma autoridade de certificação na floresta pai, você pode estabelecer um registro de certificado entre florestas: AD CS: implantando a inscrição de certificados entre florestas . Isso requer uma confiança bidirecional entre as florestas. Isso permitirá usar o servidor da CA localizado na floresta pai para implantar certificados para todos os clientes da floresta confiáveis.
qualquer opção requer alguns esforços administrativos. Mas se você for migrar as florestas adquiridas para a floresta pai ou gerenciá-las centralmente, eu escolheria a opção 2. Caso contrário, se cada floresta tiver seu pessoal de TI dedicado, a opção 1 seria mais adequada.
Além disso, gostaria de lembrar que há Serviços da Web de inscrição , que simplificam o certificado processo de inscrição entre florestas. Você nem precisa executar a sincronização de objetos do AD PKI, porque os clientes usarão servidores CEP / CES para fins de inscrição.